企业网络工程实施方案

某公司网络工程实施方案

目录

第一章总体设计 ............................................................ - 1 -

1.1系统设计原则 (1)

1.2网络拓扑架构 (2)

1.3设计依据和规范 (2)

第二章到货前准备........................................................... - 3 -

2.1项目人员的组织结构及分工 (3)

2.2工程时间安排、进度安排 (3)

第三章到货，实施前准备..................................................... - 4 -

3.1现场检查与到货验收 (4)

3.2IP地址及V LAN分配 (4)

3.2.1 总体IP—Vlan划分................................................. - 4 -

3.2.2 服务器集群IP—Vlan100划分......................................... - 5 -

3.3.3 Iptables防火墙—Vlan200划分....................................... - 5 -第四章实施 ................................................................ - 6 -

4.1相关的设备选型 (6)

4.2局域网的相关调试 (7)

4.2.1核心H3C S7500交换机的VRRP调试..................................... - 7 -

4.3广域网的相关调试 (11)

4.3.1 IPTABLES防火墙的配置.............................................. - 11 -

4.4R ED H AT L INUX 5系统上相关服务器的搭建 (12)

4.4.1 WEB服务器的安装配置............................................... - 12 -

4.4.2 DNS服务器的安装配置：............................................. - 12 -

4.4.3 Exchange服务器.................................................... - 17 -

4.4.4 FTP服务器的安装和配置............................................. - 28 -第五章测试 ............................................................... - 30 -

5.1系统测试原理和方法 (30)

5.2硬件设备测试和验收 (30)

5.3系统集成测试 (31)

5.3测试相关命令 (31)

第六章项目工程管理........................................................ - 34 -

6.1工程的安全管理 (34)

6.2工程资料、文档管理 (34)

6.3项目的质量控制 (34)

第七章现场培训 ........................................................... - 35 -第八章验收 ............................................................... - 35 -

8.1 系统初验........................................................... - 35 -

8.1.1中验（试运行验收）................................................. - 36 -

8.1.2半年后的优化：由CCIE主持系统终验.................................. - 36 -

第一章总体设计

1.1 系统设计原则

1)公司使用2台核心交换机(做冗余备份)，连接所有网络设备，并把所有服务器都连接到

该核心交换机，放置到一个单独的VLAN中。

2)接入层交换机连接终端用户，并把管理层人员和普通的办公人员放入不同的VLAN中。

3)公司的管理人员可以访问普通员工的PC，但普通员工不可以访问管理人员的PC.。

4)离该公司总部有2公里处，有一个分公司，主要是负责生产活动。和分公司连接采用路

由器。而分公司内部使用一个交换机连接所有用户，所有用户都在一个VLAN中；（可采用光纤连接）。

5)所有的用户都使用DHCP获得IP地址。

6)总公司采用linux iptables防火墙+路由器上网。公司已经申请了100M城域网宽带上

网（分两条线路，一条40M一条60M；要求：服务器占用40M，供外网用户访问，其他用户用60M出口访问internet）。

7)公司采用微软的域管理方法，对所有用户的帐号和权限通过AD来管理，并要提供99％

的可靠。

8)公司内部要有自己的邮件服务器，并可以和Internet的邮件服务器实现互发邮件。为

出差人员提供方便的邮件访问。

9)该公司有电子商务网站，提供客户在线定购产品，故要发布该WEB服务器，并提供高

可靠性。

10)该公司的防病毒采用统一集中的网络管理模式。

11)严格限制上网时间。

12)出差用户要能方便的访问公司内部资料。

1.2 网络拓扑架构

1.3 设计依据和规范

1)主机和网络设备的选型符合下列国家和组织的技术标准和规范：

2)GB：中华人民共和国国家标准

3)ISO：国际标准组织

4)ITU-T：国际电信联盟

5)IEEE：国际电气与电子工程师协会

6)EIA：电气工业协会

7)IEC：国际电工协会

第二章到货前准备

2.1项目人员的组织结构及分工

?项目经理：负责项目的总体协调工作

?商务负责：负责以商务相关的工作

?技术负责：负责项目的总体实施

?工程技术人员CCNP、CCNA：CCNP为项目实施的技术把关，CCNA负责项目的具体实施和项目实施文档的制作

?后勤负责：为所有项目实施人员提供后勤保障工作

2.2工程时间安排、进度安排

预计1月初设备全部到货，总预计4到5周时间完成项目

具体实施如下:

系统安装工程具体分解以下的子任务：

?中心和汇聚交换机的模拟环境联合调试天

?各边缘交换机的调试天

?广域网和Quidway S6509的调试天

?ACL和NAT的设置天

?网管软件的安装与调试天

第三章到货，实施前准备

3.1现场检查与到货验收

?检查设备的型号及数量是否与设备订货清单一致

?检查到货的设备是否完好

?验收的结果应该提供一份由参与验收的人员和系统集成商签名的硬件清单，并注明好相关的日期

?如果没有可见的设备损坏，那么在验货后，即开始设备的安装和调试，测试是否存一些不可见的硬件损坏。

设备到货，进行设备的验收，要求必须记录设备的序列号，表格如下：

3.2 IP地址及Vlan分配

3.2.1 总体IP—Vlan划分

3.2.2 服务器集群IP—Vlan100划分

3.3.3 Iptables防火墙—Vlan200划分

第四章实施

4.1 相关的设备选型

H3C S7500 系列以太网交换机

H3C S7500系列交换机作为H3C公司自适应安全网络的核心产品之一，可广泛的适用于IP 城域网、大型企业园区网、中小型企业办公网络的核心层和汇聚层，同时其也可以作为以太无源光网络（EPON）的光线路终端（OLT）设备，为用户提供多种业务接入、交换、路由一体化的安全融合网络解决方案。

H3C S7500系列交换机支持高达768G交换容量的高速引擎，包括以下4款产品：

◆S7502：2个业务插槽，主控板与业务板合一；

?S7503：3个业务插槽，1个主控插槽；

?S7506：6个业务插槽，1个主控插槽；

◆S7506R：6个业务插槽，2个主控插槽；

H3C S5600 系列以太网交换机

H3C S5600系列全千兆智能弹性交换机是H3C公司为设计和构建高弹性和高智能网络需求而推出的新一代以太网交换机产品。系统采用H3C公司创新的IRF（Intelligent Resilient Framework，智能弹性架构)技术，支持高达96G的堆叠带宽和高密度千兆端口，支持万兆上行。

特别适合作为需要高带宽、高性能和高扩展性的中小企业网核心、大型企业网络和园区网的汇聚层以及数据中心的服务器接入设备。

产品系列齐全，每款都支持1端口、2端口万兆接口或8端口SFP千兆光口，最大的堆叠带宽达到96G

支持创新的IRF（Intelligent Resilient Framework）智能弹性架构技术，能够实现用户网络的高度弹性智能扩展

可通过双绞线向远端下挂PD设备（如IP Phone、WLAN AP、Security、Bluetooth AP等）提供电源，实现PoE功能

支持EAD（端点准入防御）功能，配合后台系统可以将终端防病毒、补丁修复等终端安全措施与网络接入控制、访问权限控制等网络安全措施整合为一个联动的安全体系

更加多样化的管理和丰富的特性

4.2 局域网的相关调试

4.2.1核心H3C S7500交换机的VRRP调试

SW1

sys

[SW1]vlan 10

[SW1-vlan10]vlan 20

[SW1-vlan20]valn 50

[SW1-vlan50]vlan 60

[SW1-vlan60]int vlan 50

[SW1-Vlan-interface50]ip add 192.168.50.1 24

[SW1-Vlan-interface50]int vlan 60

[SW1-Vlan-interface60]quit

[SW1]ip route-static 0.0.0.0 0.0.0.0 192.168.50.252 [SW1]ip route-static 0.0.0.0 0.0.0.0 192.168.60.253 [SW1]int e0/4/3

[SW1-Ethernet0/4/3]port link-type access

[SW1-Ethernet0/4/3]port access vlan 50

[SW1-Ethernet0/4/3]int e0/4/2

[SW1-Ethernet0/4/2]port link-type access

[SW1-Ethernet0/4/2]port access vlan 60

[SW1-Ethernet0/4/2]quit

[SW1]

SW2

sys

[SW2]vlan 10

[SW2-vlan10]vlan 20

[SW2-vlan20]vlan 50

[SW2-vlan50]vlan 60

[SW2-vlan60]int e0/4/3

[SW2-Ethernet0/4/3]port link-type trunk

[SW2-Ethernet0/4/3]port trunk permit vlan all

[SW2-Ethernet0/4/3]int vlan 10

[SW2-Vlan-interface10]int vlan 20

[SW2-Vlan-interface20]ip add 192.168.20.252 24

[SW2-Vlan-interface20]int vlan 50

[SW2-Vlan-interface50]ip add 192.168.50.252 24

[SW2-Vlan-interface50]quit

[SW2]int vlan 10

[SW2-Vlan-interface10]vrrp vrid 10 virtual-ip 192.168.10.254

[SW2-Vlan-interface10]vrrp vrid 10 priority 120

[SW2-Vlan-interface10]vrrp vrid 10 preempt-mode

[SW2-Vlan-interface10]vrrp vrid 10 track interface Vlan-interface 50 reduced 50 [SW2-Vlan-interface10]int vlan 20

[SW2-Vlan-interface20]vrrp vrid 20 virtual-ip 192.168.20.254

[SW2-Vlan-interface20]vrrp vrid 20 preempt-mode

[SW2-Vlan-interface20]int e0/4/2

[SW2-Ethernet0/4/2]port link-type access

[SW2-Ethernet0/4/2]port access vlan 50

[SW2-Ethernet0/4/2]quit

[SW2]ip route-static 0.0.0.0 0.0.0.0 192.168.50.1

SW3

sys

[SW3]int e0/4/4

[SW3]vlan 10

[SW3-vlan10]vlan 20

[SW3-vlan20]vlan 50

[SW3-vlan50]vlan 60

[SW3-vlan60]int e0/4/3

[SW3-Ethernet0/4/3]port link-type trunk

[SW3-Ethernet0/4/3]port trunk permit vlan all

[SW3-Ethernet0/4/3]int vlan 10

[SW3-Vlan-interface10]ip add 192.168.10.253 24

[SW3-Vlan-interface10]int vlan 20

[SW3-Vlan-interface20]ip add 192.168.20.253 24

[SW3-Vlan-interface20]int vlan 60

[SW3-Vlan-interface60]ip add 192.168.60.253 24

[SW3-Vlan-interface60]int vlan 10

[SW3-Vlan-interface10]vrrp vrid 10 virtual-ip 192.168.10.254

[SW3-Vlan-interface10]vrrp vrid 10 preempt-mode

[SW3-Vlan-interface10]int vlan 20

[SW3-Vlan-interface20]vrrp vrid 20 virtual-ip 192.168.20.254

[SW3-Vlan-interface20]vrrp vrid 20 priority 120

[SW3-Vlan-interface20]vrrp vrid 20 preempt-mode

[SW3-Vlan-interface20]vrrp vrid 20 track interface Vlan-interface 60 reduced 50 [SW3-Vlan-interface20]int e0/4/2

[SW3-Ethernet0/4/2]port link-type access

[SW3-Ethernet0/4/2]port access vlan 60

[SW3-Ethernet0/4/2]quit

[SW3]ip route-static 0.0.0.0 0.0.0.0 192.168.60.1

4.3 广域网的相关调试

4.3.1 IPTABLES防火墙的配置

[root@localhost ~]# echo 1 >/proc/sys/net/ipv4/ip_forward

[root@localhost ~]# iptables -t nat POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT --to 218.85.157.100

[root@localhost ~]# iptables -t nat -A PREROUTING -p tcp --dport 80 -d 218.85.157.100 -j DNAT --to-destination 192.168.1.100

[root@localhost ~]# iptables -p INPUT DROP

[root@localhost ~]# iptables -p OUTPUT ACCEPT

[root@localhost ~]#iptables -p FORWARD DROP

[root@localhost ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT

[root@localhost ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

[root@localhost ~]# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT

[root@localhost ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT

[root@localhost ~]# iptables -A INPUT -p tcp --dport 110 -j ACCEPT

[root@localhost ~]# iptables -A INPUT -p tcp --dport 25 -j ACCEPT

[root@tp ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT

[root@localhost ~]# iptables -A INPUT -p tcp --dport 20 -j ACCEPT

[root@localhost ~]# iptables -A INPUT -p tcp --dport 53 -j ACCEPT

[root@localhost ~]# /etc/init.d/iptables save

[root@localhost ~]# /etc/init.d/iptables restart

4.4 Red Hat Linux 5系统上相关服务器的搭建

4.4.1 WEB服务器的安装配置

WEB服务器的ip地址：192.168.1.100

域名：https://www.360docs.net/doc/532293092.html, https://www.360docs.net/doc/532293092.html,

[root@localhost ~]# cd /home/wg2010

[root@localhost wg2010]# tar -zxvf httpd-2.0.59.tar.gz –C /tmp

[root@localhost wg2010]# cd /tmp

[root@localhost tmp]# cd httpd-2.0.59/

[root@localhosthttpd-2.0.59]#./configure--prefix=/usr/loacl/apache--sysconfdir=/us r/loacl/apache/conf

[root@localhosthttpd-2.0.59]make

[root@localhosthttpd-2.0.59]make inatall

4.4.2 DNS服务器的安装配置：

DNS服务器ip地址:192.168.1.100

[root@localhost ~]#mount /dev/cdrom /mnt/cdrom

[root@localhost ~]# cd /mnt/cdrom

[m[root@localhost cdrom]# cd Server/

[root@localhost Server]# ls |grep bind

[root@localhost Server]# rpm -ivh bind-9.3.3-10.el5.i386.rpm

[root@localhost Server]# rpm -ivh bind-utils-9.3.3-10.el5.i386.rpm

[root@localhost Server]# ls |grep cach

[root@localhost Server]#rpm -ivh caching-nameserver-9.3.3-10.el5.i386.rpm [root@localhost Server]# cd /home/wg0803/dns

[root@localhost wg0803]# ls

[m[root@localhost dns]# cp https://www.360docs.net/doc/532293092.html,.zone /var/named

[root@localhost dns]# cp https://www.360docs.net/doc/532293092.html,.zone /var/named

[root@localhost dns]# cp named.ca /var/named

cp：是否覆盖“/var/named/named.ca”? n

[root@localhost dns]# cp named.conf /etc

[root@localhost dns]# cd /var/named

[root@localhost etc]# vi named.conf

// generated by named-bootconf.pl

options {

directory "/var/named";

/*

* If there is a firewall between you and nameservers you want

* to talk to, you might need to uncomment the query-source

* directive below. Previous versions of BIND always asked

* questions using port 53, but BIND 8.1 uses an unprivileged

* port by default.

*/

// query-source address * port 53;

};

//

// a caching only nameserver config

//

controls {

inet 127.0.0.1 allow { localhost; } keys { rndckey; }; };

zone "." IN {

type hint;

file "named.ca";

};

zone "localhost" IN {

type master;

file "localhost.zone";

allow-update { none; };

};

zone "0.0.127.in-addr.arpa" IN {

type master;

file "named.local";

allow-update { none; };

};

zone "https://www.360docs.net/doc/532293092.html," IN {

type master;

file " https://www.360docs.net/doc/532293092.html,.zone";

};

zone "https://www.360docs.net/doc/532293092.html," IN {

type master;

file " https://www.360docs.net/doc/532293092.html,.zone";

};

zone "1.168.192.in-addr.arpa" IN {

type master;

file "1.168.192.in-addr.arpa";

};

include "/etc/rndc.key";

[m[root@localhost named]# vi https://www.360docs.net/doc/532293092.html,.zone

$TTL 86400

$ORIGIN https://www.360docs.net/doc/532293092.html,.

@ 1D IN SOA https://www.360docs.net/doc/532293092.html,. https://www.360docs.net/doc/532293092.html, (

42 ; serial (d. adams)

3H ; refresh

15M ; retry

1W ; expiry

1D ) ; minimum

1D IN NS https://www.360docs.net/doc/532293092.html,.

IN MX 10 https://www.360docs.net/doc/532293092.html,.

www 1D IN A 192.168.1.1100

mail 1D IN A 192.168.1.1100

ftp IN CNAME www

[root@localhost named]# vi https://www.360docs.net/doc/532293092.html,.zone

$TTL 86400

$ORIGIN https://www.360docs.net/doc/532293092.html,.

@ 1D IN SOA https://www.360docs.net/doc/532293092.html,. https://www.360docs.net/doc/532293092.html, (

42 ; serial (d. adams)

3H ; refresh

15M ; retry

1W ; expiry

1D ) ; minimum

1D IN NS https://www.360docs.net/doc/532293092.html,.

IN MX 10 https://www.360docs.net/doc/532293092.html,.

www 1D IN A 192.168.1.1100

mail 1D IN A 192.168.1.1100

ftp IN CNAME www

[root@localhost ~]# service named start

4.4.3 Exchange服务器

安装过程

1.下图为Exchange Service 2003的安装开始界面，选择“Exchange 部署工具”

2.在下图中，选择“部署第一台Exchange 2003 服务器”

3.选择“安装全新的Exchange 2003”